偷盗的艺术: Satori 变种正在通过替换钱包地址盗取 ETH 数字代币
Share this

偷盗的艺术: Satori 变种正在通过替换钱包地址盗取 ETH 数字代币

在我们2017年12月5日发布的关于Satori的 文章 中,我们提到Satori僵尸网络正在以前所未有的速度快速传播。自从我们的文章发布以后,安全社区、ISP、供应链厂商共同协作,Satori 的控制端服务器被 sinkhole、ISP和供应链厂商采取了行动,Satori的蔓延趋势得到了暂时遏制,但是Satori的威胁依然存在。

从 2018-01-08 10:42:06 GMT+8 开始,我们检测到 Satori 的后继变种正在端口37215和52869上重新建立整个僵尸网络。值得注意的是,新变种开始渗透互联网上现存其他Claymore Miner挖矿设备,通过攻击其3333 管理端口,替换钱包地址,并最终攫取受害挖矿设备的算力和对应的 ETH 代币。我们将这个变种命名为 Satori.Coin.Robber。

这是我们第一次见到僵尸网络替换其他挖矿设备的钱包。这给对抗恶意代码带来了一个新问题:即使安全社区后续接管了 Satori.Coin.Robber 的上联控制服务器,那些已经被篡改了钱包地址的挖矿设备,仍将持续为其贡献算力和 ETH 代币。

到 2018-01-16 17:00 GMT+8 为止,
矿池的 付费记录 显示:

  • Satori.Coin.Robber 当前正在持续挖矿,最后一次更新大约在5分钟之前;
  • Satori.Coin.Robber 过去2天内平均算力大约是 1606 MH/s;账户在过去24小时累积收入 0.1733 个ETH代币;
  • Satori.Coin.Robber 已经在2017年1月11日14时拿到了矿池付出的第一个 ETH 代币,另有 0.76 个代币在账户上;

另外值得一提的是,Satori.Coin.Robber 的作者通过下面这段话宣称自己当前的代码没有恶意,并且留下了一个电子邮箱地址:

Satori dev here, dont be alarmed about this bot it does not currently have any malicious packeting purposes move along. I can be contacted at curtain@riseup.net

Claymore Miner远程管理接口上的系列安全问题

Claymore Miner 是一个流行的的多种代币的挖矿程序,互联网上现存了较多设备正在基于Claymore Miner挖矿。Claymore Miner 提供了远程监控和管理的接口。

按照其 文档 的描述,其 Windows 版本通过 Remote management 子目录下的 EthMan.exe 文件,在3333端口上,提供了远程监控和管理的特性。其早期版本允许远程读取挖矿进程的运行状态,同时也允许执行重启、上传文件等控制行为。

在缺省情况下就可以获得部分控制权,这显然是个脆弱性问题。作为应对,8.1 版本以后,Claymore Miner 缺省使用 -3333 (而不是 3333 )端口作为启动参数,这意味着远程管理端口是只读的,不再能够执行控制命令。

但是这并不代表这一系列的远程管理接口问题就到此结束了。2017年11月,CVE-2017-16929 被披露,允许远程读写任意文件。对应的 利用代码 也已经批露。

我们这次观察到的漏洞利用代码跟上面列出的均有所不同。这次攻击主要是针对开放了3333端口管理、同时又没有设置远程登录密码的 Claymore Miner挖矿设备。为防止潜在的滥用,我们不会在文章中公布详细细节。

Satori.Coin.Robber 变种正在利用上述脆弱性问题攫取 ETH 代币算力

在 2018-01-08至2018-01-12期间,我们观察到了以下样本:

737af63598ea5f13e74fd2769e0e0405	http://77.73.67.156/mips.satori
141c574ca7dba34513785652077ab4e5	http://77.73.67.156/mips.satori
4e1ea23bfe4198dad0f544693e599f03	http://77.73.67.156/mips.satori
126f9da9582a431745fa222c0ce65e8c	http://77.73.67.156/mips.satori
74d78e8d671f6edb60fe61d5bd6b7529	http://77.73.67.156/mips.satori
59a53a199febe331a7ca78ece6d8f3a4	http://77.73.67.156/b

这组样本是Satori的后续变种,这个变种不仅会扫描早先的 37215 和 52869 端口,还会扫描 3333 端口,三个端口上的扫描载荷分别是:

  • 端口 37215 : 已有,针对漏洞 CVE-2017-17215,华为公司最近发布了相关的声明,并在持续更新;
  • 端口 52869 : 已有,针对漏洞 CVE-2014-8361,这是一个针对 Realtek SDK 的漏洞,网上自2015年就公开了漏洞利用代码
  • 端口 3333 : 新增,针对上述 Eth 挖矿进程远程管理接口的攻击。


上图是端口 3333 的扫描载荷。这个扫描中,Satori.Coin.Robber 会顺序发出三个包,分别是:

  • 第一个包:miner_getstat1,获取状态;
  • 第二个包:miner_file,更新reboot.bat文件,替换其中的矿池和钱包地址;
  • 第三个包:miner_reboot,重启生效。

在这个上述 reboot_bat 的文件更新过程中:

  • 矿池地址替换为:eth-us2.dwarfpool.com:8008
  • 钱包地址替换为:0xB15A5332eB7cD2DD7a4Ec7f96749E769A371572d

通过这种方式,Satori.Coin.Robber 将其他设备上 ETH 挖矿进程的算力攫取为己用。

Satori.Coin.Robber 与之前版本的异同

我们对比两个版本的 Satori.Coin.Robber,寻找其中的异同:

  • 737af63598ea5f13e74fd2769e0e0405 Satori.Coin.Robber
  • 5915e165b2fdf1e4666a567b8a2d358b satori.x86_64, 2017年10月版本,VT报告地址

相同点:

  • 代码:均使用了UPX加壳,并且使用了相同的幻数 0x4A444E53,脱壳后大量代码结构类似。
  • 配置信息:配置信息均加密,加密方式相同,且大量配置字符串是一致的。例如 /bin/busybox SATORI,bigbotPein,81c4603681c46036,j57*&jE,等等;
  • 扫描载荷:两者均扫描 37215 和 52869 端口,并且使用了相同的扫描载荷

我们认为这些证据够强,足以将这次的新变种与之前的 Satori 联系起来。

不同点:

  • 扫描载荷:Satori.Coin.Robber 新增了 3333 端口上针对 Claymore Miner的攻击
  • 扫描过程:Satori.Coin.Robber 使用了异步网络连接(NIO)方式发起连接,这种方式会提高扫描效率
  • C2 协议:Satori.Coin.Robber 启用了一组新的C2 通信协议,会基于DNS协议与54.171.131.39通信。后面会有专门的一节来描述。

下面是一些详细的截图证据展示:

两个版本的样本公用了相同的UPX加壳幻数:

Satori.Coin.Robber 在扫描过程中使用了异步网络连接方式:

Satori.Coin.Robber 的新的C2 通信协议

Satori.Coin.Robber 的 C2 :

  • 硬编码的IP地址,54.171.131.39,位于爱尔兰都柏林。
  • 通信协议是基于DNS修改的,可以使用 dig @54.171.131.39 $DNS-QNAME any +short 的方式做一个简单测试,每个$DNS-QNAME对应不同的功能。

整体C2协议列表如下:

协议释义如下:

  • 客户端请求 w.sunnyjuly.gq,服务器返回 0xB15A5332eB7cD2DD7a4Ec7f96749E769A371572d
  • 客户端请求 p.sunnyjuly.gq,服务器返回 eth-us2.dwarfpool.com:8008
  • 客户端请求 s.sunnyjuly.gq,服务器返回一段字符串 "Satori dev here, dont be alarmed about this bot it does not currently have any malicious packeting purposes move along. I can be contacted at curtain@riseup.net."
  • 客户端请求 f.sunnyjuly.gq,服务器返回 213.74.54.240。这个请求并不是样本中出现的,是我们的研究人员尝试 fuzzing 后得到的。

最前面两个请求的回应,恰好是 bot 篡改别的挖矿设备后使用的矿池和钱包地址。但是目前阶段,样本中的扫描载荷仍然是硬编码的,并没有使用这里的服务器返回值;
服务器返回的那段英文,翻译成中文的大意是“我是Satori的作者,现在这个bot还没有什么恶意的代码,所以暂时放轻松。联系我的话,邮件写给curtain@riseup.net”

Satori.Coin.Robber 的感染趋势

我们大体上可以使用三个扫描端口在 ScanMon 上的扫描趋势来度量 Satori.Coin.Robber 的感染范围和趋势。

37215528693333 端口上过去30 天的扫描趋势依次如下:

总体来看,三个端口上均有扫描暴涨,与本次样本表现能够对应。

  • 初始出现时间都在 2018年1月8日附近;
  • 高峰时间都在都在 2018年1月8日~2018年1月8日附近;
  • 最近几天扫描量逐渐下降;
  • 主要扫描来源在 AS4766 Korea Telecom ;
  • 独立扫描源IP地址,约为 4.9k;

噪音方面,37215与52869 端口上,依据1月8日以前的表现,可能有部分扫描来源不属于 Satori.Coin.Robber;但是 3333 端口比较干净,依据1月8日以前的表现来看,噪音较小。考虑到三个端口上的扫描表现趋于一致,我们认为上述数据可以表现当前 Satori.Coin.Robber 的感染趋势。

结语

Satori 的最初版本虽然已经被安全社区抑制,但是新的继任者已经出现。

新的Satori.Coin.Robber,会扫描别的设备上的挖矿程序,并将钱包地址替换成自己的。这是我们在botnet领域第一次看到这种行为模式。

尽管作者宣称自己当前没有恶意,但是传播恶意代码、未经授权修改他人计算机上的信息、攫取他人计算机算力为自己挖取数字代币,这些行为都是恶意行为。

考虑到12月5日附近Satori在12小时内感染了超过26万IoT设备,当前 Satori.Coin.Robber的感染速度已经远远变低,暂时不用恐慌。

上述感染速度的降低,不应该归因为攻击者刻意降低了扫描的速度,特别是考虑到攻击者启用了NIO技术来加速扫描阶段的效率;而应该归因为安全公司、ISP、供应链设备厂商共同的协作和努力。